Apa itu Brute Force Login Attack (Dan Bagaimana Cara Mencegahnya)?

Serangan dunia maya menjadi lebih canggih, dengan peretas menemukan cara yang semakin cerdas untuk mencuri data dan mengakses situs web dan basis data. Salah satu cara utama peretas mengakses situs web adalah menggunakan login brute force, atau serangan brute force.

Serangan brute force mengacu pada penyerang yang mengirimkan banyak kata sandi dengan harapan dapat menebak kombinasi yang benar untuk mendapatkan akses tidak sah ke sistem Anda. Perangkat lunak yang digunakan oleh peretas seringkali dapat mengamankan akses ke situs web, akun email, atau basis data lain dalam hitungan detik.

Ini disebut brute force karena upaya dilakukan dengan penuh semangat dan terus menerus sampai nama pengguna dan kata sandi diamankan. Serangan brute force adalah cara sederhana namun sangat efektif untuk memecahkan kunci enkripsi Anda dan mengakses file yang ingin Anda rahasiakan.

Bagaimana cara kerja serangan brute force?

Pada tingkat dasar, login brute force semudah menebak kata sandi yang mungkin. Tetapi kuncinya adalah mencoba beberapa variasi sampai Anda menemukan jawabannya.

Semakin panjang kemungkinan kata sandi, semakin banyak variasi yang harus Anda coba. Kode sandi 2 digit memiliki 100 kemungkinan, sedangkan kode sandi lima digit memiliki 10 miliar. Juga, pikirkan fakta bahwa sebagian besar kode sandi bukan hanya angka. Mereka berisi abjad, kapitalisasi dan karakter khusus. Inilah sebabnya mengapa kata sandi yang lemah lebih mudah ditebak daripada kata sandi yang rumit.

Jika Anda pernah bertanya-tanya mengapa situs web bersikeras bahwa Anda menggunakan kata sandi yang rumit maka gambar ini dapat membantu menjelaskan.

Seperti yang Anda lihat, kata sandi sederhana dapat diretas menggunakan serangan brute force dalam waktu kurang dari satu detik. Tetapi semakin kompleks mereka, semakin lama waktu yang mereka butuhkan untuk berkompromi.

Jadi salah satu cara utama untuk menghindari serangan brute force di situs web Anda adalah dengan mewajibkan semua pengguna memiliki kata sandi yang panjang dan rumit. Faktanya, keamanan kata sandi sekarang dilihat sebagai garis pertahanan pertama terhadap berbagai bentuk serangan dunia maya.

Masalah lainnya adalah karena daya komputasi yang sangat besar yang diperlukan, menggunakan bot brute force dapat meningkatkan kecepatan komputasi dan membuat akses ke sistem Anda menjadi lebih mudah.

Mengapa upaya kekerasan tidak ditandai?

Ada beberapa cara yang dilakukan peretas untuk menghindari deteksi selama upaya login brute force.

1. Mereka menggunakan banyak IP

Jika Anda memiliki terlalu banyak upaya login yang gagal akibat memasukkan kata sandi yang salah, sebagian besar sistem akan meminta Anda untuk menunggu beberapa saat dan mencoba lagi atau mengunci Anda sepenuhnya. Jadi mengapa para peretas ini tidak mengalami nasib yang sama?

Upaya login brute force dijalankan dengan cara yang licik dan sistematis yang melibatkan banyak komputer dan alamat IP.

Salah satu taktik yang digunakan disebut serangan terdistribusi di mana setiap IP hanya mencoba menebak kata sandi Anda beberapa kali setelah itu berhenti sepenuhnya. IP lain kemudian menggantikannya.

Sekarang, kalikan ini dalam skala besar, dengan lusinan atau bahkan ratusan bot mencoba masuk sekaligus tetapi tidak pernah mencoba cukup waktu untuk memicu mekanisme keamanan.

2. Mereka tidak hanya menebak

Selama serangan brute-forcing, peretas bertindak berdasarkan beberapa informasi yang tersedia. Misalnya, kebanyakan orang menggunakan kata sandi yang sama di banyak platform, jadi pelanggaran data dari platform lain adalah titik awal yang cukup bagus. Ini dikenal sebagai serangan brute force terbalik karena peretas mencoba beberapa nama pengguna sampai mereka menemukan satu yang cocok dengan kata sandi.

Ada juga taktik lain. Misalnya, peretas dapat menggunakan serangan kamus di mana peretas menjalankan kata sandi menggunakan kata-kata standar – misalnya 'sandi', 'admin', 'iloveyou' atau '1234567890'.

Serangan kamus adalah metode umum untuk memecah kata sandi sederhana, dan yang sangat berhasil dan sering digunakan. Peretas juga dapat menggunakan serangan brute force hybrid yang menggabungkan serangan kamus dengan serangan brute force dasar.

Contoh terkenal dari serangan brute force

Alibaba (2015)

Salah satu contoh serangan brute force yang terkenal adalah situs TaoBao Alibaba. Antara Oktober dan November 2015, raksasa e-commerce mengalami serangan brute force yang tidak terdeteksi oleh tim keamanan. Dalam hal ini, upaya login yang berlebihan tidak ditandai karena lalu lintas tinggi yang konsisten dari TaoBao.

Laporan mengklaim bahwa kata sandi yang digunakan kembali bertanggung jawab atas beberapa akun yang disusupi karena peretas menggunakan kembali kredensial akun yang dicuri dari situs lain. Peretas memiliki lebih dari 99 juta kredensial akun untuk dikerjakan, dan mereka berhasil meretas lebih dari 20 juta profil akun pengguna.

Klub Nintendo (2013)

Club Nintendo adalah situs keanggotaan komunitas di mana pengguna mendiskusikan semua hal tentang Nintendo. Pada tahun 2013, situs tersebut mengalami serangan brute force, di mana, setelah 15 juta upaya, peretas akhirnya meretas akun pengguna.

Untungnya, semua akun yang disusupi dengan cepat ditangguhkan hingga dapat dikembalikan ke pemilik yang sah. Laporan menunjukkan bahwa serangan itu mempengaruhi lebih dari 25.000 anggota forum.

GitHub (2013)

Github bisa dibilang merupakan contoh serangan brute force terbesar dalam sejarah. Pada tahun 2013, peretasan memperoleh akses ke beberapa akun pengguna setelah beberapa upaya dari hampir 40.000 alamat IP unik. Laporan menunjukkan bahwa peretas menggunakan informasi yang diperoleh dari kebocoran data lainnya.

Github menyimpan kata sandi pengguna dengan aman, dan meskipun tidak jelas berapa banyak akun yang disusupi, perkiraan menunjukkan bahwa jumlahnya sangat sedikit.

Apa tujuan dari serangan brute force?

Data pengguna sangat berharga di dunia digital kita. Dari informasi pembayaran atau detail pajak, hingga sekadar mengakses alamat email dan kata sandi. Ini adalah alasan utama serangan brute force.

Akses ke data pengguna Anda

Situs web dengan banyak data pengguna sering menjadi sasaran serangan brute force. Setelah berhasil, peretas tidak hanya dapat memperoleh akses ke akun pengguna, tetapi juga sering dapat menggunakan detail login ini di situs web lain.

Faktanya, dengan database detail pengguna yang diketahui, peretas dapat melakukan serangan brute force menggunakan detail yang dikumpulkan ini di situs web di seluruh internet.

Eksploitasi sumber daya web

Dengan peretasan khusus seperti login WordPress brute force, penyerang berusaha menggunakan sumber daya situs web Anda untuk keuntungan mereka. Misalnya, mereka mungkin ingin menggunakan situs web Anda untuk mengirim email spam dan phishing tanpa sepengetahuan Anda. Peretas juga dapat menggunakan situs Anda untuk meretas situs lain karena IP Anda mungkin belum masuk daftar hitam.

Alasan lain untuk memaksa login WordPress termasuk menambang cryptocurrency atau mengarahkan lalu lintas situs Anda.

Jelajahi kerentanan

Peretas topi putih, sering disebut sebagai peretas etis atau peretas, tidak memiliki niat jahat. Sebaliknya, mereka menguji kekuatan keamanan sistem untuk menghilangkan kerentanan dan melaporkannya. Dengan demikian, peretas topi putih dapat melakukan serangan brute force di situs web sebagai bagian dari pemeriksaan keamanan.

Bagaimana cara mencegah serangan brute force?

Seperti kebanyakan elemen keamanan siber, mencegah serangan brute force dapat dilakukan dengan beberapa langkah sederhana.

Gunakan kata sandi yang rumit

8 dari 10 pelanggaran data yang dikonfirmasi disebabkan oleh kata sandi yang lemah atau dicuri – serangan kamus yang disebutkan di atas. Jadi tempat yang bagus untuk memulai adalah memastikan bahwa kata sandi Anda adalah:

• Kuat (kombinasi huruf, angka dan karakter khusus)
• Unik di semua platform
• Lebih dari 12 karakter

Serangan brute force otomatis menggunakan kata sandi umum dapat memasuki situs web atau akun pengguna dalam hitungan detik.

Batasi login ke alamat IP tertentu

Membatasi alamat IP tertentu untuk mengakses situs Anda juga dapat mencegah serangan brute force. Banyak database keamanan memiliki catatan alamat IP bot brute force. Dengan memblokir alamat IP ini, peretas harus bekerja ekstra keras untuk mengakses situs web Anda dengan sukses.

Salah satu cara untuk melakukannya adalah dengan mengatur port akses jarak jauh ke alamat IP statis. Anda juga dapat mengonfigurasi VPN.

Gunakan otentikasi dua faktor

Otentikasi dua faktor sering dianggap sebagai garis pertahanan pertama terhadap serangan brute force. Mereka memastikan bahwa peretas tidak dapat memperoleh akses ke data Anda hanya dengan nama pengguna dan kata sandi. Mereka juga membutuhkan ponsel cerdas atau klien email Anda.

Pantau log server Anda

Mengawasi log server Anda adalah cara yang lebih proaktif untuk melindungi situs web Anda dari serangan brute force. Log mencatat setiap upaya login yang gagal, dan dengan menganalisisnya, Anda dapat mengidentifikasi aktivitas yang mencurigakan.

Gunakan alat seperti Logwatch untuk melakukan pemeriksaan harian dan menghasilkan laporan yang dapat Anda tafsirkan dengan mudah.

Cegah aktivitas bot di situs Anda

Karena serangan brute force biasanya dilakukan oleh bot otomatis, memblokir bentuk lalu lintas ini adalah salah satu cara paling efektif untuk menghindarinya.

Bot Zapping dari ClickCease memblokir lalu lintas bot di situs web WordPress. Ini berarti serangan cyber seperti spam SEO, serangan DDoS dan serangan brute force dicegah secara proaktif dan real time.

Jika Anda menjalankan situs dengan database pengguna, fungsi checkout, atau bahkan jika Anda mengelola situs dengan lalu lintas tinggi, Anda perlu mempertimbangkan untuk memblokir lalu lintas bot sebagai fitur keamanan yang penting.

Di luar serangan brute force

Meskipun serangan brute force dapat merusak karena sejumlah alasan, ancaman terhadap bisnis online Anda banyak dan beragam. Dan, seperti yang disebutkan di atas, sering kali terjadi pada bot.

Bot jahat mendorong sebagian besar aktivitas berbahaya dan merusak di internet. Jadi menjaga keamanan jaringan dan mencegah bot dalam bentuk apa pun mendapatkan akses ke situs web Anda berarti Anda dapat dilindungi dari:

• Pelanggaran data dan kerusakan selanjutnya pada reputasi Anda
• Kerusakan infrastruktur situs web Anda seperti pemasangan malware atau injeksi konten
• Situs web menjadi offline dalam serangan DDoS atau ransomware
• Penipuan klik dan penipuan iklan merusak kampanye iklan berbayar Anda

Bot Zapping dari ClickCease adalah produk baru sebagai bagian dari perangkat anti-penipuan kami untuk pemasar. Saat ini hanya berfungsi untuk situs web WordPress, meskipun situs WordPress menyumbang 40% dari internet.

Pengguna ClickCease yang ada dapat menjalankan Bot Zapping sebulan gratis untuk melihat cara kerjanya.

Pengguna baru dapat mendaftar untuk uji coba gratis untuk menjalankan audit lalu lintas di situs mereka.